Em resumo
- Aikido SAST e SCA a executar em todos os repositórios através da integração com o GitHub
- O plugin para IntelliJ fornece feedback aos programadores enquanto escrevem código
- A integração com o Jira converte as deteções em tickets de correção para os programadores resolverem
- Aikido AI Pentest no novo portal de clientes concluído em 1 hora e 40 minutos
- Uma deteção de alta gravidade remediada antes de o portal ser disponibilizado publicamente
- O pentest foi executado em modo white-box porque o Aikido já tinha acesso ao repositório
- Avaliado em comparação com Veracode, Checkmarx e Snyk
Desafio
O First National Bank of America é um banco de cariz familiar, com carta federal e sede em East Lansing, Michigan. O FNBA concede empréstimos em todo o país a mutuários que não cumprem os critérios de crédito à habitação convencionais e, até há pouco tempo, quase tudo o que os seus programadores criavam ficava dentro do banco.
À medida que o banco crescia, também aumentavam as expectativas dos reguladores em relação a ele, e o FNBA decidiu incorporar a revisão de segurança a um processo de desenvolvimento que já abrangia a qualidade do código e a revisão de Java. Eric Tucker, Gestor de Desenvolvimento de Software, também pretendia colmatar as lacunas conhecidas nas suas aplicações internas mais antigas, que funcionam numa estrutura Java com grande utilização de bases de dados, que remonta ao início dos anos 2000.
Depois surgiu o portal de clientes. Matt Keeler, Engenheiro de Gestão de Identidade e Acessos, já realizava pentests de rede internos e externos no FNBA há anos, mas o código de aplicação do banco tinha permanecido atrás de outros controlos até este projeto. O portal mudou isso e, enquanto instituição regulada a nível federal, o FNBA era obrigado a efetuar um pentest à aplicação antes de a tornar pública.
Solução
A equipa de desenvolvimento avançou primeiro. O Eric e os seus colegas realizaram a avaliação, e a rapidez com que o Aikido se integrou com os recursos já existentes no FNBA teve um peso decisivo na decisão.
"A integração com o GitHub foi muito simples. Foi fácil e rápido começarmos a utilizá-la em todos os nossos repositórios."
Eric Tucker
Aikido Atualmente, o análise estática de código apresenta relatórios sobre as dependências de código aberto detetadas nos repositórios da FNBA, e a equipa do Eric analisa-as regularmente. O plugin do IntelliJ fornece feedback aos programadores enquanto estes escrevem código, as detecções aparecem nos pedidos de integração (pull requests) no GitHub e as notificações assinalam novos problemas críticos à medida que estes surgem. A integração com o Jira transforma essas detecções em tickets que qualquer programador pode assumir.
"Atribuímos-lhes atualizações de versões ou alterações relacionadas com injeções SQL à medida que tentamos reduzir as vulnerabilidades nas nossas aplicações internas. Qualquer um dos nossos programadores com um início de sessão no GitHub pode aceder, escolher uma vulnerabilidade e corrigi-la, criar o ticket e, em seguida, podemos integrá-la no nosso SDLC. A partir desse momento, torna-se muito simples."
Eric Tucker
Quando o portal ficou pronto, a segurança assumiu o controlo. O Matt executou um Aikido AI Pentest em março de 2026. Este foi concluído em 1 hora e 40 minutos e devolveu problemas em aberto, cada um com uma classificação de gravidade e um tempo estimado de correção, o que permitiu ao Matt avaliar prioridades e delegar a remediação diretamente aos programadores. O pentest encontrou uma deteção de alta gravidade, e o FNBA corrigiu-a antes de o portal ser lançado publicamente.
Porque é que o First National Bank of America escolheu o Aikido
A FNBA avaliou quatro ou cinco produtos, incluindo Veracode, Checkmarx e Snyk. A meio do processo, a equipa detetou uma lacuna de deteção que precisava de cobrir no seu próprio código-fonte. A Aikido desenvolveu e implementou essa funcionalidade enquanto a FNBA ainda estava a analisar as outras opções, o que decidiu o desfecho.
A decisão sobre o pentest surgiu mais tarde, como consequência da primeira. Como a Aikido já estava ligada aos repositórios da FNBA para garantir a segurança do código, o pentest conseguiu analisar o código de forma mais profunda, em vez de atacar a aplicação a partir do exterior.
"Este pentest white-box teve muito mais impacto porque dispunha do contexto de todos os repositórios e conseguiu correlacionar a forma como as coisas funcionariam na realidade."
Matt Keeler
A FNBA também estava a trabalhar contra o relógio e precisava de um pentest rápido e fiável o mais rapidamente possível.
"Estávamos com um prazo apertado e conseguimos iniciar um pentest de imediato, o que foi fantástico. Conseguimos lançar um pentest um dia após termos decidido utilizar a Aikido."
Matt Keeler
O que motivou a decisão:
- Integração com o GitHub que cobriu rapidamente todos os repositórios
- Deteção solicitada pela FNBA, desenvolvida e disponibilizada a meio da avaliação
- Plugin para o IntelliJ para feedback imediato aos programadores
- Integração com o Jira que se adaptou ao SDLC existente
- Contexto de repositório que tornou o pentest num teste de caixa branca (white box) por predefinição
- Um pentest que a equipa pôde iniciar um dia após decidir realizá-lo
Resultados
O portal foi lançado com a vulnerabilidade de alta gravidade já resolvida, graças à rapidez com que o pentest terminou. Segundo a estimativa do próprio Matt, a equipa teria lá chegado eventualmente, mas semanas ou um a dois meses mais tarde.
No que diz respeito ao desenvolvimento, o resultado é um registo que o Eric pode apresentar aos auditores internos e externos.
"Estamos a eliminar consistentemente os problemas encontrados e a obter relatórios regulares sobre novas vulnerabilidades e problemas de dependências, corrigindo-os de seguida."
Eric Tucker
O tempo de configuração também contou, uma vez que o Eric considera a configuração e integração da Aikido simples em comparação com o esforço que os outros produtos exigiram à sua equipa antes de sequer poderem iniciar a avaliação.
Veredito final
"Poder iniciar um pentest de imediato, e pelo preço a que o fizemos, proporcionou-nos um valor incrível."
Matt Keeler
